Vispārīgā datu aizsardzības regula

Kas ir VDAR?

ES Vispārīgā datu aizsardzības regula (VDAR) ir visstingrākais tiesību akts pasaulē privātuma un drošības jomā.

Ar šo regulu tika atjaunināti un modernizēti principi, kas ietverti 1995. gada datu aizsardzības direktīvā. To pieņēma 2016. gadā un sāka piemērot 2018. gada 25. maijā.

VDAR definē:

• personu pamattiesības digitālajā laikmetā;
• datu apstrādātāju pienākumus;
• metodes atbilstības nodrošināšanai;
• sankcijas noteikumu pārkāpējiem.

Personu tiesības

VDAR ir uzskaitītas datu subjektu tiesības, t. i., to personu tiesības, kuru personas dati tiek apstrādāti. Šīs nostiprinātās tiesības personām sniedz lielāku kontroli pār saviem personas datiem, tostarp ar šādiem pasākumiem:

• ir vajadzīga skaidra personas piekrišana personas datu apstrādei;
• datu subjektam ir vieglāka piekļuve saviem personas datiem;
• tiesības labot un dzēst datus un "tikt aizmirstam";
• tiesības iebilst, tostarp pret personas datu izmantošanu profilēšanas nolūkos;
• tiesības uz datu pārnesamību no viena pakalpojumu sniedzēja pie cita.

Datu aizsardzības regulā ir noteiktas fizisku personu tiesības un pienākumi tiem, kuri apstrādā datus, un tiem, kas ir atbildīgi par apstrādi.

Uzņēmumu un organizāciju pienākumi

VDAR ir noteikti pārziņu un to, kas viņu vārdā apstrādā personas datus (apstrādātāju), vispārīgie pienākumi.

Tie ietver pienākumu īstenot pienācīgus drošības pasākumus atbilstīgi tai riska pakāpei, kas saistīta ar to veiktajām datu apstrādes darbībām.

Dažos gadījumos pārziņiem ir arī jāsniedz paziņojums par personas datu aizsardzības pārkāpumiem. Visām publiskajām iestādēm un uzņēmumiem, kas veic konkrētas riskantas datu apstrādes darbības, būs arī jāieceļ datu aizsardzības speciālists.

Datu aizsardzības noteikumu piemērošana

Regulā ir apstiprināts esošais dalībvalstu pienākums valsts līmenī izveidot neatkarīgu uzraudzības iestādi, un ar to ir izveidots mehānisms, ar ko nodrošina konsekventu datu aizsardzības tiesību aktu piemērošanu visā ES.

VDAR ir noteikts, ka pārrobežu gadījumos, kad ir iesaistītas vairākas valsts uzraudzības iestādes, tiek pieņemts vienots uzraudzības lēmums. Saskaņā ar šo principu, ko dēvē par vienas pieturas aģentūras principu, uzņēmumam, kuram ir meitasuzņēmumi vairākās dalībvalstīs, būs jākārto jautājumi tikai ar tās dalībvalsts datu aizsardzības iestādi, kurā ir uzņēmuma galvenā iedibinājuma vieta.

Eiropas Datu aizsardzības kolēģija nodrošina VDAR pilnīgu un konsekventu piemērošanu. Šajā kolēģijā ir visu 27 neatkarīgo uzraudzības iestāžu pārstāvji.

Padome 2025. gada 17. novembrī pieņēma ES tiesību aktu, kam būtu jāstājas spēkā 2026. gadā. Minētais tiesību akts nodrošina, ka valsts datu aizsardzības iestāžu sadarbība, kad tiek izskatītas ar VDAR saistītās pārrobežu sūdzības, kurās iesaistītas vairākas ES valstis, notiek ātrāk un efektīvāk. Noteikumi vienkāršo administratīvās procedūras, un to mērķis ir nodrošināt:

• pārrobežu sūdzību ātru izskatīšanu un labāku sadarbību,
• sūdzības iesniedzēju un pušu tiesību pārkāpumu izmeklēšanu.

VDAR ir paredzētas bargas sankcijas pret pārziņiem vai apstrādātājiem, kuri pārkāpj datu aizsardzības noteikumus. Datu pārziņiem var piespriest naudas sodu līdz €20 miljoniem vai 4 % no viņu kopīgā gada apgrozījuma.

Turklāt personas var iesniegt sūdzību uzraudzības iestādē, un tām ir tiesības vērsties tiesā un pieprasīt kompensāciju. Tām ir tiesības uz savas datu aizsardzības iestādes pieņemta lēmuma pārbaudi savas valsts tiesā neatkarīgi no tā, kurā dalībvalstī ir iedibināts attiecīgais datu pārzinis.

• Eiropas Datu aizsardzības kolēģija
• Padome pieņem jaunu ES tiesību aktu, lai paātrinātu pārrobežu datu aizsardzības sūdzību izskatīšanu (paziņojums presei, 2025. gada 17. novembris)
• Datu aizsardzība: Padome vienojas par nostāju attiecībā uz VDAR izpildes nodrošināšanas noteikumiem (paziņojums presei, 2024. gada 13. jūnijs)

Nosūtīšana uz trešām valstīm

VDAR ir ietverts arī jautājums par personas datu nosūtīšanu trešām valstīm un starptautiskām organizācijām. Eiropas Komisijai ir uzticēts pienākums novērtēt to, cik augsts aizsardzības līmenis trešā valstī tiek nodrošināts kādā konkrētā teritorijā vai apstrādes nozarē.

Ja Komisija nav pieņēmusi lēmumu par aizsardzības līmeņa pietiekamību kādā teritorijā vai nozarē, personas datus tomēr var nosūtīt konkrētos gadījumos vai tad, ja pastāv atbilstoši aizsardzības pasākumi.